俄罗斯网络间谍如何利用正常登录功能窃取账户访问权

三个集群分别采用了哪些手法？

UNC6293：冒充美国官员，诱导提供应用专用密码

据 GTIG 称，UNC6293 曾冒充美国国务院官员及其他可信联系人，诱导目标创建并披露应用专用密码。此类密码可能让攻击者绕过通常的第二因素提示访问账户。

该集群还使用 OAuth 同意钓鱼：攻击者不是直接窃取密码，而是诱导受害者批准应用访问，从而获取授权令牌或账户权限。

GTIG 以中等置信度评估认为，UNC6293 是 ICE RELIC 的初始访问子集；ICE RELIC 是 Google 对此前被称为 APT29 的攻击者所使用的名称。

UNC7005（又称 STORM-2945）：从 WhatsApp 设备关联到恶意软件投递

UNC7005 使用了更广泛、不断变化的诱骗手法，包括：

• **WhatsApp 设备关联骗局：**诱导受害者把攻击者控制的设备关联到自己的 WhatsApp 账户。
• **虚假语音通话和加密聊天邀请：**先通过互动建立信任，再发送恶意链接或代码。
• **冒充芬兰运营中心的机构通信：**相关诱饵与虚假的 Microsoft 登录页面配合使用。
• **OAuth 滥用和恶意软件投递：**攻击者利用 Google OAuth 流程获取令牌或账户访问权，同时投递 VIDAR 和 ATOMIC 等信息窃取程序。

尽管 UNC7005 与 UNC6293 的目标和“利用正常认证流程”这一思路存在重叠，但两者的技术细节和基础设施并不相同，因此 GTIG 将它们作为独立集群追踪。

UNC5976：针对军事、航空航天和国防目标的 OAuth 钓鱼

据报道，UNC5976 重点关注军事、航空航天和国防领域的人员及组织，包括与乌克兰和亚美尼亚有关的目标。其钓鱼活动主要通过 OAuth 授权，试图访问受害者的账户或数据。

GTIG 如何评估俄罗斯关联？

GTIG 以高置信度评估，这些活动整体上具有俄罗斯关联。不过，这属于针对活动来源的归因判断，并不意味着每一个操作细节或各集群之间的关系都已达到同等确定程度。

现有报告还提到，部分活动可能与 ICE RELIC/APT29 存在联系。其中，GTIG 以中等置信度评估 UNC6293 与 ICE RELIC 有关；由于各集群的基础设施和具体技术并不完全一致，它们仍被分别追踪。

为什么开启 MFA 仍然不够？

多因素认证本身依然重要，但如果攻击者操纵用户批准了错误操作，MFA 也可能被绕过。一个意外出现的 OAuth 授权页面、应用专用密码请求，或 WhatsApp 设备关联代码，都可能意味着账户接管风险，即使攻击者从未直接拿到密码。

因此，认证提示不应被视为“只要出现在熟悉的服务里就一定安全”的步骤。更稳妥的做法，是把每次登录、授权和设备关联都当成一笔需要核验的安全交易。

用户和组织应如何防御？

GTIG 的建议核心是：不要被攻击者催促着完成操作，应主动放慢流程并核验请求来源。

• 登录或批准 OAuth 访问前，检查浏览器地址栏中的完整网址。
• **独立核实邀请和请求。**对于会议邀请、语音通话、加密聊天邀请，以及声称来自政府或机构联系人的消息，应通过已知且可信的联系方式重新确认。
• **绝不分享应用专用密码、一次性验证码、二维码或设备关联码。**对于意外出现的登录或 OAuth 请求，不要直接批准。
• **定期检查已关联的消息设备。**在 WhatsApp 及其他消息应用中，及时移除不认识的设备。
• **使用抗钓鱼的多因素认证。**组织应优先考虑安全密钥或通行密钥（passkey），并在条件允许时限制高风险 OAuth 应用和应用专用密码的使用。

对敏感行业从业者而言，最重要的提醒很简单：熟悉的品牌、真实的登录页面，甚至真正存在的认证功能，都不能单独证明请求合法。还必须核实请求本身，以及发起请求的人或组织。